ZIPファイルを添付して、パスワードを本文に書いて送信。
「これで安全に送れた」と思っていたとき、ふと気づきました。
「ファイルとパスワードを同じメールで送ってしまっている」
パスワード付きZIPは、ファイルとパスワードを別々の経路で送ることで、セキュリティ上の分離が成立します。同じメールで送ってしまうと、そのメールを見た人はファイルもパスワードも両方手に入れられる状態になり、分離が成立しなくなります。
こんなヒヤリ、ありませんか？
「ZIP添付しました。パスワードは〇〇です」と同じメールに書いていた
ファイルを添付してパスワードを本文に記載、そのまま送信。受け取る側への配慮のつもりだったが、ファイルとパスワードが同じメールに入っている状態になっていた。
「パスワードは別メールで送ります」と言いながら、同じスレッド内で送っていた
「パスワードは別途お送りします」と一言添えて、そのままメールの返信としてパスワードを送ってしまった。送り先のメールアドレスは同じで、メールスレッドをまとめて閲覧できる状態だった。
社内で共有しているメールアカウントから送った
複数人で使っている共有メールアカウントから送付した。ファイルもパスワードも同じアカウントに届くため、アクセス主体が複数いても内容を確認できる状態になっていた。これは「同じメールで送る」ケースとはリスクの性質が異なり、複数人が同一アカウントにアクセスできるため、誰がファイルやパスワードを取得したかを追跡しにくい点で注意が必要です。
なぜ「同じメール送付」がリスクになるのか
パスワード付きZIPの目的は「ファイルの中身を守ること」です。そのためにはファイルとパスワードが別々のルートで届く必要があります。
同じメールで送ってしまうと、そのメールが転送・誤送信・メールボックスへの不正アクセスなどによって第三者に届いた場合、ファイルとパスワードがセットで手に入ってしまう可能性があります。
「メールに添付してパスワードも本文に書く」という手順は、業務の中で自然な流れとして定着していることがあります。だからこそ、「ヒヤリ」と気づいたときには何度もやっていた、ということが起きやすいです。
なお、「別経路で送ることが重要」なのは事実ですが、それだけで安全が確保されるわけではありません。ZIPの暗号化にも種類があり、古い形式（ZipCrypto）は既知の攻撃手法に対して脆弱であり、パスワード解析のリスクがあります。比較的強度の高い形式（AES方式）を使っていることも、前提条件のひとつになります。送り方だけでなく、ZIP自体の設定にも注意が必要です。
対策：ファイルとパスワードを分けて届ける
パスワードは、電話やチャットなどメール以外の手段で伝える
ZIPファイルをメールで送る場合は、パスワードをメール以外の手段で伝えることが基本です。電話で口頭伝達したり、別のチャットツールで送ったりすることで、仮にメールが見られても内容にはアクセスできない状態を作れます。
「別メールで送る」ときは本当に別の手段で
「パスワードは別途送ります」と伝えても、同じスレッドの返信としてパスワードを送ると、スレッドをまとめて閲覧できる状態になります。同じメールで送るケースとは厳密には異なりますが、同一スレッド内でパスワードが参照可能な状態になるため、分離の効果が弱まります。別の連絡手段（電話・チャットツールなど）を使うことが理想です。
パスワード運用をルール化する
個人の判断に任せていると、忙しいときや担当者が変わったときにルールが崩れやすくなります。「パスワードはメール以外で伝える」を社内のファイル送付ルールとして明文化しておくことで、対応のばらつきを防ぐことができます。
まとめ
「パスワード付きZIPを同じメールで送る」は、意図せず習慣になっていることがあります。
- ファイルとパスワードは別の連絡手段で届ける
- 「別メールで送る」場合も、同じメールスレッドへの返信では意味が薄れる
- 社内でルールとして共有しておくと、担当者が変わっても対応がそろいやすい